Vertrauensdienste im ISMS: Mapping und Roadmap

Problem in der Praxis

In vielen Organisationen wird der Umgang mit Signaturen, Siegeln und Zertifikaten dezentral entschieden: Fachbereiche führen Signaturen ein, IT betreibt Zertifikate, niemand verantwortet das Gesamtbild. Das fällt oft erst auf, wenn ein Vertrag wegen unklarer Signaturqualität angezweifelt wird oder ein Prüfer nach der Gültigkeitsgrundlage fragt. Beim Anbieter qualifizierter Dienste verlangt eIDAS einen qualifizierten Status, der über einen Konformitätsbewertungsbericht erlangt und durch laufende Aufsicht erhalten wird; wer das als Projekt statt als Dauerbetrieb versteht, gefährdet den Status. Hinzu kommt regulatorische Überlagerung: Vertrauensdiensteanbieter fallen unter NIS2 in den Sektor digitale Infrastruktur, qualifizierte Anbieter regelmäßig als wesentliche Einrichtungen. eIDAS- und NIS2-Pflichten sind rechtlich getrennt, überschneiden sich inhaltlich aber stark.

CISO-Einordnung

Der CISO sollte Vertrauensdienste entlang zweier Fragen einordnen: In welcher Rolle ist die Organisation, und welche Rechtswirkung soll erzeugt oder akzeptiert werden? Die Rechtswirkung ist die Leitplanke: Eine qualifizierte elektronische Signatur (QES) hat nach eIDAS die Rechtswirkung einer handschriftlichen Unterschrift, qualifizierte Zeitstempel und Siegel genießen Beweisvermutungen. Daraus folgt eine Risikoentscheidung, keine Technikfrage: Welche Prozesse brauchen qualifiziertes Niveau, und wo genügen nicht-qualifizierte Dienste wie Signaturen, Siegel, Zeitstempel, Zustelldienste oder Website-Authentifizierungszertifikate? Mit eIDAS 2.0 kommen unter anderem elektronische Attributbescheinigungen und die EU Digital Identity Wallet (EUDI-Wallet) hinzu.

Der Datenschutzbezug ist keine Nebensache. Fragt die Organisation als vertrauende Partei Wallet-Attribute ab, gilt der Grundsatz der Datenminimierung: nur die für den Zweck erforderlichen Attribute. Das operationalisiert ein Kernprinzip der DSGVO innerhalb der eIDAS-Architektur und ist gemeinsame Verantwortung von CISO und Datenschutzbeauftragtem.

Umsetzungsperspektive

Das Mapping sollte vorhandene Strukturen nutzen statt neue zu schaffen. Für den Anbieter sind die operativen Anforderungen konzeptionell über die ETSI-Normenfamilie strukturiert; diese Normen sind ISMS-affin und werden vielfach mit einem zertifizierten ISO/IEC-27001-ISMS unterlegt, ihre Volltexte sind lizenziert und dienen hier nur als Strukturverweis. Praktisch laufen Risikomanagement, Zugriffs- und Schlüsselverwaltung, PKI-Betrieb, Protokollierung, Geschäftsfortführung samt Beendigungsplan und Dokumentation über die vorhandenen ISMS-Prozesse.

Für die vertrauende Partei liegt der Schwerpunkt auf Validierung und Governance: Signaturen und Siegel werden gegen die EU Trusted List geprüft, Zertifikatsketten kontrolliert, und bei Nutzung der EUDI-Wallet sind Registrierung als Relying Party sowie Attributminimierung vorzusehen; die genauen Registrierungsdetails sind noch zu verifizieren. In Deutschland ist die Bundesnetzagentur Aufsichtsstelle: Sie nimmt Mitteilung und Konformitätsbewertungsbericht entgegen, verleiht den qualifizierten Status und führt die Deutsche Vertrauensliste; die DAkkS akkreditiert die Konformitätsbewertungsstellen. Wichtig für die Roadmap: Die Sicherheitszertifizierung der EUDI-Wallet ist beim BSI angesiedelt, nicht bei der Bundesnetzagentur.

Typische Fehler

1. Vertrauensdienste werden als reines PKI-Thema der IT behandelt statt als ISMS- und Compliance-Gegenstand.
2. Der qualifizierte Status wird als Projektziel statt als Dauerbetrieb verstanden; das Re-Assessment durch die Konformitätsbewertungsstelle wird nicht eingeplant.
3. eIDAS- und NIS2-Pflichten werden getrennt bearbeitet, sodass doppelte oder widersprüchliche Nachweise entstehen.
4. Als vertrauende Partei wird die Validierung gegen die Trusted List nur punktuell und manuell betrieben.
5. Bei der EUDI-Wallet werden mehr Attribute abgefragt als nötig, was den Datenminimierungsgrundsatz verletzt.
6. Unbestätigte Termine werden als feste Fristen kommuniziert, obwohl sie vom Inkrafttreten der Durchführungsrechtsakte abhängen.

Risiken und Trade-offs

Der zentrale Trade-off liegt zwischen Vertrauensniveau und Aufwand: Qualifizierte Dienste erzeugen starke Rechtswirkung und Beweiskraft, sind aber mit Aufsicht, Konformitätsbewertung und laufenden Pflichten verbunden; nicht-qualifizierte Dienste sind schlanker, liefern aber nicht dieselbe Vermutungswirkung. Der zweite Trade-off betrifft die Rollenwahl: Eigene qualifizierte Dienste bedeuten Kontrolle, aber auch Anbieterpflichten und Aufsicht, während der Bezug externer Dienste die eigene Pflichtenlast reduziert, sie aber in das Lieferantenmanagement verlagert. Ein Planungsrisiko sind die datumsabhängigen Vorgaben rund um die EUDI-Wallet: Bereitstellungs- und Akzeptanztermine hängen vom Inkrafttreten der maßgeblichen Durchführungsrechtsakte ab und sind vor verbindlicher Planung zu verifizieren; die Roadmap sollte deshalb mit Korridoren statt mit Stichtagen arbeiten.

Entscheidungspunkte

• Welche Geschäftsprozesse benötigen qualifiziertes Vertrauensniveau, und wo genügen nicht-qualifizierte Dienste?
• Tritt die Organisation als Anbieter, als vertrauende Partei oder in beiden Rollen auf?
• Werden qualifizierte Dienste selbst erbracht oder extern bezogen, und wie wird das im Lieferantenmanagement abgesichert?
• Wie werden eIDAS- und NIS2-Pflichten in einem gemeinsamen Steuerungsmodell zusammengeführt?
• Wer verantwortet die Attributminimierung bei der EUDI-Wallet zwischen Security und Datenschutz?

Praktische Empfehlungen

1. Klären Sie die Rolle eindeutig: Anbieter, vertrauende Partei oder beides, jeweils mit benanntem Owner.
2. Mappen Sie die Anbieteranforderungen auf vorhandene ISMS-Prozesse, statt ein zweites Managementsystem aufzubauen.
3. Etablieren Sie die Validierung gegen die EU Trusted List als wiederkehrenden, dokumentierten Prozess.
4. Führen Sie eIDAS- und NIS2-Pflichten in einem konsolidierten Pflichten- und Nachweisregister zusammen.
5. Verankern Sie Datenminimierung bei Wallet-Attributen als gemeinsame Aufgabe von CISO und Datenschutzbeauftragtem, und planen Sie die Roadmap mit Zeitkorridoren statt fixen Stichtagen.

Relevante Normreferenzen

• Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183: Rechtsgrundlage für elektronische Identifizierung und Vertrauensdienste (frei zugängliches EU-Recht).
• DSGVO: Referenz für den Grundsatz der Datenminimierung bei der Attributabfrage (frei zugängliches EU-Recht).
• NIS2 bzw. BSIG i.d.F. des NIS2-Umsetzungsgesetzes: parallele Risikomanagement- und Meldepflichten (genaue Paragraphen zu prüfen).
• ETSI EN 319 401 ff.: konzeptioneller Strukturrahmen für Anbieteranforderungen (lizenziert, nur Referenz, kein Volltext).
• ISO/IEC 27001:2022: Referenz für das ISMS, in dem die Anforderungen organisatorisch umgesetzt werden.